reg-gap-analysis

/reg-gap-analysis

1. ~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md を読み込みます → プライバシーポリシー上の確約、規制対象範囲、DSAR システム。
2. 以下のワークフローを実行します。
3. 適用範囲を確認します：規制が適用されるか（管轄、しきい値、業種）。
4. 要件を抽出し、現状との差分を確認して、ギャップ一覧を作成します。
5. 担当者、日付、優先順位を含む是正計画を作成します。
6. 日付入りの文書を保存します。「ギャップなし」の場合も記録します。

/privacy-legal:reg-gap-analysis "Colorado Privacy Act"

/privacy-legal:reg-gap-analysis
[paste guidance / reg text]

---

規制とポリシーのギャップ分析

目的

ある州で新しいプライバシー法が成立しました。ICO が新たなガイダンスを発行しました。CPPA が規則を最終決定しました。何かが変わったとき、今や変更が必要なのか、必要なら何を変更すべきなのかを把握する必要があります。

このスキルでは、新しい要件と現在の対応状況（~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md → プライバシーポリシー上の確約、および PIA に記録された慣行）を比較し、是正計画付きのギャップ一覧を作成します。

現状を読み込む

~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md を読みます。

• ## Privacy policy commitments — 公に約束している内容
• ## Regulatory footprint — すでに適用されている規制
• ## DSAR process → システム一覧 — 実際の業務で行っていること

規制が適用されない場合（管轄が異なる、しきい値未満、業種が異なる場合）、ギャップ分析は次の一文で済みます：「適用されません。理由は次のとおりです：[理由]。対応は不要です。」

ワークフロー

ステップ 1：規制の適用範囲を確認する

差分を確認する前に、次の点に回答します。

• 適用されるか？ 管轄（その地域にデータ主体がいるか）、しきい値（収益、ユーザー数、データ量）、業種の適用除外
• いつ適用されるか？ 発効日、執行開始日（多くの場合、発効日より後）、段階的な適用の有無
• 実際に新しい内容は何か？ 新たな州プライバシー法の多くは、細部に変更を加えた CCPA が 90％を占めます。全文ではなく、すでに遵守している内容との差分を特定します。

ステップ 2：要件を抽出する

規制（または概要やガイダンス）を読みます。実質的な要件をすべて個別の項目として列挙します。

#	要件	引用	カテゴリ
1	[記載されている要件]	[条項]	[通知／権利／セキュリティ／ベンダー／その他]

カテゴリ：

• 通知 — ユーザーに伝える必要がある内容（プライバシーポリシーの記載事項）
• 権利 — ユーザーが要求できること（DSAR に関連）
• セキュリティ — 技術的・組織的措置
• ベンダー — 処理者に引き継ぐ必要がある要件
• 同意 — オプトイン／オプトアウトの仕組み
• ガバナンス — DPO、影響評価、記録保持

ステップ 3：現状との差分を確認する

各要件について、次のように確認します。

### [Requirement #N]: [short name]

**Regulation says:** [requirement, quoted or paraphrased]

**We currently:** [what the config CLAUDE.md / privacy policy / practice shows]

**Gap:** [None | Partial | Full]

**If partial/full gap — what's missing:** [specific]

**Effort to close:** [Policy update only | Product change | Vendor renegotiation |
New process]

**Risk of non-compliance:** [regulatory penalty range, enforcement likelihood,
reputational]

ステップ 4：優先順位を付ける

すべてのギャップが同じ重要度とは限りません。次の順に並べます。

1. 厳格な期限と実効性のある執行 — 発効日と積極的な執行、実際の罰則
2. 工数と影響の比率 — ポリシー文言の更新は低コストですが、プロダクトの再構築はそうではありません
3. すでに一部対応済みのもの — GDPR に 80％対応できていれば、州法との差分は小さい可能性があります

ステップ 5：是正計画

~/.claude/plugins/config/claude-for-legal/privacy-legal/CLAUDE.md の ## Outputs にある成果物ヘッダーを先頭に付けます（ユーザーの役割によって異なります。## Who's using this を参照）。

リサーチコネクターの事前確認。 是正計画を出力する前に、このセッションで法務リサーチコネクターに接続できるか確認します。対象は Westlaw、EUR-Lex／規制当局サイトのコネクター、または事務所で設定されたリサーチ MCP です。これを CLAUDE.md の ## Outputs に従ってレビュアーノートに記載します。ステップ 2 または「規制カテゴリの一般的な調査」ステップでコネクターから結果が返らない場合、または実行時にコネクターが設定されていない場合は、レビュアーノートの Sources: 行に記録します。例：未接続 — トレーニング知識に基づく引用です。プライバシーのギャップ分析で捏造が最も起きやすいのは、新しい州法の発効日、執行開始日、条・項の特定です。まずこれらをスポットチェックしてください。引用ごとの [model knowledge — verify] タグはインラインのままにします。出力の前に単独のバナーを付けないでください。

[WORK-PRODUCT HEADER — per plugin config ## Outputs]

## Remediation Plan: [Regulation name]

**Effective date:** [date]
**Enforcement begins:** [date]

### Must-do before enforcement

| Gap | Fix | Owner | Due | Status |
|---|---|---|---|---|
| [gap] | [specific fix] | [name] | [date] | [ ] |

### Should-do (lower risk, not blocking)

[same table]

### Already compliant

[list of requirements where gap = None — useful for the "we're mostly fine" message]

### Accepted gaps (risk-accepted, not fixing)

[if any — with documented rationale and who accepted the risk]

一般的な規制カテゴリー

差分を特定する際は、新しい規制を大まかなカテゴリーに分類してから、詳細を調査すると役立ちます。

• 基本的なデータ保護／プライバシー法 — 法域における個人データの取り扱いを幅広く規定します
• 分野別の上乗せ規制 — 医療、金融、子ども、教育、雇用など
• AI 固有の規制 — 自動意思決定に関する透明性、影響評価、ガバナンス
• データブローカー／アドテック規制 — 登録、オプトアウト、削除の仕組み
• 侵害通知規制 — 独立した規制、またはより広範な法律に組み込まれた規制
• 越境移転規制 — 十分性、仕組み、評価に関する要件

新しい規制に関連する各カテゴリーについて、ギャップ分析を作成する前に、現在有効な要件を調査してください。一次資料を引用してください。情報が最新であることを確認してください。州法は立法会期ごとに新たに施行され、規制当局が解釈ガイダンスを発行することで、特定の管理策における「コンプライアンス」の意味が変わることがあります。確認していない規則を断定するのではなく、不確かな点は弁護士による確認が必要であると明記してください。

調査結果を黙って補足しないでください。 設定済みの法律調査ツール（Westlaw、規制当局のデータベース、または法律事務所のプラットフォーム）で規制、ガイダンス文書、または執行措置を検索しても、結果がほとんどない、またはまったくない場合は、見つかった内容を報告して終了してください。確認せずに、ウェブ検索やモデルの知識で不足を補ってはいけません。次のように伝えてください。「[tool] から [N] 件の検索結果が返されました。[regime / topic] に関する情報は不足しているようです。選択肢：（1）検索クエリを広げる、（2）別の調査ツールを試す、（3）ウェブを検索する — 結果には [web search — verify] のタグを付け、依拠する前に発行機関の情報と照合する必要があります、または（4）未検証として明記し、ここで終了する。どれを希望しますか？」信頼性の低い情報源を受け入れるかどうかは、弁護士が判断します。

出典の帰属レベル分け。 ギャップ分析のすべての引用に、出典を示すタグを付けてください。モデルの知識に基づく引用には、一律に「verify」タグを付けるのではなく、次の3段階のいずれかを使用してください。

• [settled] — 変更される可能性が低い、安定した周知の法令・規制上の参照情報（例：GDPR Art. 33、CCPA § 1798.100、FTC Act § 5）。提出前には引き続き確認が必要ですが、優先度は低めです。
• [verify] — 実在するものの、確認が必要なモデルの知識に基づく引用：特定の施行規則、機関のガイダンス、判例の判示、基準値、施行日、新たに制定された州法。
• [verify-pinpoint] — ピンポイント引用（特定の項番号、巻号・ページ番号、段落番号、規制のサブパート参照）は捏造されるリスクが最も高いため、必ず一次資料に照らして確認してください。

ツールで取得した引用には出典タグ（[Westlaw]、[issuing authority site]、または MCP ツール名）をそのまま付けてください。ウェブ検索による引用には引き続き [web search — verify] を付け、ユーザー提供の引用には [user provided] を付けてください。段階分けにより、実際に必要な確認作業が明確になります。すべてを確認するよう求められれば、何も確認しなくなるものです。タグを削除したり、まとめたりしてはいけません。

他のスキルとの連携

PIA の作成から： PIA でプライバシーポリシーの不整合を特定し、既知のギャップとしてここに引き継ぎます。

規制・法務プラグインへ（インストールされている場合）： このスキルは手動版です。モニタープラグインはフィードを監視し、変更があったときにこの分析を自動的に実行します。

出力

日付入りの Markdown ドキュメントとして保存します。是正計画の表はトラッカーとして使用し、項目が完了したらステータスを更新します。

ギャップ分析の結果が「ギャップなし、準拠している」となった場合も、ドキュメントを作成してください。後日、確認を行ったことを示す有用な証拠になります。

引用の検証に関する注記で締めくくってください：

この出力に含まれる引用は AI モデルによって生成されたものであり、一次資料との照合は行われていません。規制、法令、ガイダンス、または執行措置を信頼する前に、正確性と現行の有効性について、法律調査ツール（Westlaw、ご所属の事務所の調査プラットフォーム、または発行機関のウェブサイト）で確認してください。AI が生成した引用は、捏造されたり、誤って引用されたりすることがあります。各引用のソースタグ（例：[web search — verify]）は出典を示しています。verify タグは捏造のリスクがより高いため、優先して確認してください。

次のステップの判断ツリーで締めくくってください

CLAUDE.md の ## Outputs に従って、次のステップの判断ツリーで締めくくります。このスキルが今回作成した内容に合わせて選択肢を調整してください。既定の5つの分岐（X のドラフトを作成する、エスカレーションする、追加情報を得る、様子を見る、その他）は出発点であり、固定ではありません。判断ツリーが成果物です。選択するのは弁護士です。

このスキルでできないこと

• 規制の曖昧な文言を権威あるものとして解釈することはできません。規制が不明確な場合は、その旨を明記してください。「セクション X は［A］または［B］と解釈できます。［A］が保守的な解釈です。重要な事項であれば、社外弁護士への相談を提案します。」
• 規制の変更を能動的に追跡することはできません。変更を指定された場合に実行します。能動的なモニタリングについては、regulatory-legal プラグインを参照してください。
• 修正を実施することはできません。修正を計画します。